GhostAction供应链攻击新一波基本失败但攻击者仍潜伏GitHub

Dark Reading报道称，针对GitHub的GhostAction供应链攻击新一波大体失败，但运营方仍具备继续制造混乱的条件。该活动通过攻陷开发者账户，向仓库注入恶意GitHub Actions工作流文件，利用平台对这类文件的高信任度窃取仓库机密、包发布令牌、个人访问令牌及源码中的凭证，并可能横向扩散到更多仓库、CI/CD与云环境。活动去年已被记录，本月手法升级：10月8日至12日约向3万个仓库推送security-audit.yml；GitGuardian于10月27日披露，10月13日至21日运营方向约2.3万个公共仓库推送7.2万次提交，其中约8000个为新目标。攻陷账户后，会按仓库使用的托管或自托管Runner部署不同载荷，包括搜索凭证的seven workflows、早前见过的Security-audit.yml、针对自托管CI的载荷、索取GitHub OIDC令牌以进入AWS的载荷，以及伪装成VS Code任务、在开发者本机安装Node.js凭证窃取器的font stealer。后者手法疑似抄袭与朝鲜有关的PolinRider活动，攻击者还在10月22日至26日向已受影响仓库加入PolinRider式加载器。GitGuardian称五类载荷中仅本机窃取器有可能成功运行，但未见实际运行证据；OpenSourceMalware联合创始人Jenn Gile认为更像模仿而非演进，并推测可能借助大语言模型测试变体。GitHub已识别并阻止恶意工作流执行，但攻击者仍对近1800个被攻陷账户保持持久访问，其中1382个早在10月8日就已使用，显示被盗令牌持续有效。